JumpServerRCE漏洞复现

　　本文主要复现2021年1月出现的JumpSever的RCE漏洞1。漏洞范围JumpServerv2。6。2JumpServerv2。5。4JumpServerv2。4。5JumpServerv1。5。92。漏洞分析2。1原理简介：
　　由于JumpServer某些接口未做授权限制，攻击者可构造恶意请求从日志文件获取敏感信息，通过执行相关API操作执行任意命令。2。2影响接口
　　根据官方通告，以下两个接口受得影响：apiv1authenticationconnectiontokenapiv1usersconnectiontoken
　　ps：具体漏洞调用链可以参考这位大佬的分析（https：zhuanlan。zhihu。comp375135821），本文主要讲具体如何利用的内容分析。2。3利用流程
　　整个漏洞的利用过程如下：读取log日志获取参数（user、asset、systemuser）使用appsauthenticationapiauth。py获取token通过上文提到的2个接口执行命令3。漏洞复现3。1读取log日志来获取参数
　　这一步是需要使用websocket来发送参数到wsopstaskslogurl下，然后发送｛task：optjumpserverlogsgunicorn｝获得
　　注：这里的optjumpserver是常用的jumpserver安装路径，实际操作时需要根据情况进行修改。所以如果目标在影响范围内却无法正常读取日志，可能是发送参数的路径错误了，并非漏洞不存在
　　这里有2种方法可以读取日志3。1。1通过浏览器插件获取参数
　　火狐浏览器下可以安装SimpleWebSocketClient插件来发送websocket连接。URL构造：ws：urlwsopstaskslogRequest构造：｛task：optjumpserverlogsgunicorn｝MessageLog即为返回的日志内容
　　日志中的apiv1permsassetpermissionsuservalidate？actionnameconnectassetid（）cachepolicy1systemuserid（）userid（）
　　参数即为目标3。1。2通过python获取参数
　　github上有现成的利用工具：https：github。comVeraxy00JumpserverEXP
　　这个脚本可以直接获取到执行命令的权限，但在实际测试中发现该脚本存在问题，但我们仍然可以通过修改代码的方式来获取日志print（Startreadlogs）logasyncwithwebsockets。connect（tar）asclient：awaitclient。send（json。dumps（｛task：optjumpserverlogsgunicorn｝））whileTrue：try：retjson。loads（awaitclient。recv（））logret〔message〕print（Reading。。。）reresultset（re。compile（apiv1permsassetpermissionsuservalidate？actionnameconnectassetid（。？）cachepolicy1systemuserid（。？）userid（。？））。findall（log））
　　此处代码中的reresult即为读取的结果，可以通过print的方式输出读取到的参数内容，如果日志过长可能会增加读取的时间。
　　3。2获取未授权token
　　这个步骤主要是通过jumpserver的koko组件来实现。
　　构造
　　这一步是需要POST到apiv1authenticationconnectiontoken？useronlyNone
　　POST数据为：
　　｛user：，
　　asset：，
　　systemuser
　　｝
　　这里需要填入第一步获取的参数，即可获取有效token（该token有效期20s，因此必须在20s内建立连接）3。3执行命令
　　这里推荐工具https：github。comSkactorjumpserverrce
　　其中rce。py即是我们需要的脚本，将第一步获取的参数带入脚本。执行即可，具体操作可以查看项目简介。
　　注：如果想要通过手动构造ws请求的方式来执行命令，可以参考https：blog。csdn。netqq32261191articledetails113078759来复现。
　　到这里复现就结束了。